我是一名程序员，试图为一家小公司管理 Active Directory 设置。域控制器正在运行 Windows Small Business Server 2008。
我们有使用平板电脑的现场工作人员；平板电脑的 ThinkVantage 膨胀软件的配置问题将要求这些用户在使用平板电脑时具有管理员权限。没关系 - 当我通过电话引导他们完成修复时，他们拥有广泛的特权很有用，所以我不是在那里寻找解决方法。
我想使用组策略来设置以下场景： 特定安全组（或组织单元）中的用户在登录到某个安全组（或组织单元）中的计算机时应该在 BUILTIN/Administrators 组中。如果计算机必须在 OU 中也没关系，但我更喜欢按组分配用户。
当然，现场工作人员不应该是其他工作站上的管理员，普通办公室人员不应该是平板电脑上的管理员。
目前，这是在每个平板电脑上本地管理的，但是随着我们增加新员工，这变得越来越麻烦。
我觉得 Restricted Groups 是这里的答案，但没有 AD 概念和方法的坚实基础，我很难实现它。
这项任务的正确技术是什么，我将如何实施它？